📚 Aevo में ओरेकल सेटिंग की गलती के कारण हुई धनराशि की रिपोर्ट ✅ सारांश Aevo में जुड़े पुराने रिबन फाइनेंस के वॉल्ट में, ओरेकल सेटिंग के अपडेट की गलती के कारण लगभग 27 लाख डॉलर के बराबर की धनराशि बाहर निकल गई। यह एक उच्च स्तरीय क्रिप्टोग्राफिक तोड़फोड़ नहीं थी, बल्कि अधिकार प्रबंधन और मूल्य गणना के सेटिंग की गलती के कारण लगातार दुरुपयोग हुआ। पुराने डिज़ाइन और नए अपडेट के बीच के अंतर के कारण कैसे घातक परिणाम उत्पन्न हुए, इसका संगठित विश्लेषण किया गया है। ✅ रिबन से Aevo में एकीकरण की पृष्ठभूमि रिबन फाइनेंस DeFi विकल्प के प्रारंभिक प्रोटोकॉल के रूप में प्रसिद्ध था, जिसके बाद Aevo में एकीकृत कर दिया गया। यह एकीकरण सेवा समाप्त करने के बजाय, मौजूदा वॉल्ट को Aevo के मुख्य कार्य के रूप में जारी रखने का निर्णय था। इसलिए, पुराने वॉल्ट अभी भी ईथेरियम पर काम कर रहे हैं और धनराशि भी वहां बनी हुई है। ✅ ओरेकल अपडेट के कारण हुई समस्या 2025 के दिसंबर में, Aevo ने पुराने रिबन वॉल्ट के ओरेकल सेटिंग को अपडेट किया। ओरेकल मूल्य जानकारी को स्मार्ट कॉन्ट्रैक्ट में प्रसारित करने के लिए महत्वपूर्ण तंत्र है। हालांकि, इस अपडेट के कारण, प्रबंधक अधिकार की जाँच बाहर कर दी गई थी, जिससे कोई भी मूल्य या नियोजित जगह को बदल सकता था। अर्थात, लॉकर की चाबी को बाहर रखे रहने की तरह था। ✅ अधिकार की गलती और मूल्य गणना का अंतर अपडेट के बाद के ओरेकल में 18 अंकों के दशमलव के आधार पर गणना की गई थी, लेकिन वॉल्ट में 8 अंकों के दशमलव के पुराने संपत्ति भी बची हुई थी। इस अंतर के कारण मूल्य गणना में अंतर उत्पन्न हुआ, जिससे हमलावर वास्तविक मूल्य से बहुत अधिक मूल्य निर्धारित कर सके। इसके अलावा, ओरेकल के स्वामित्व के हस्तांतरण का निर्णय केवल tx.origin (लेनदेन के पहले भेजे गए व्यक्ति) पर आधारित था, जिसके कारण विशिष्ट वॉलेट के माध्यम से नियमित प्रबंधक की तरह व्यवहार किया जा सका। ✅ हमले की प्रक्रिया हमलावर पहले अवैध शर्तों के साथ विकल्प उत्पाद बनाया, फिर ओरेकल के नियोजित जगह को अस्थायी रूप से बदलकर मूल्य को बदल दिया। इस स्थिति में oToken (विकल्प को दर्शाने वाला टोकन) को अधिकृत करने पर, वॉल्ट ने ठीक प्रक्रिया के रूप में माना और बड़ी मात्रा में WETH या USDC का भुगतान कर दिया। इस प्रक्रिया को दोहराने से वॉल्ट को छोटे समय में खाली कर दिया गया। ✅ धनराशि के स्थानांतरण और छिपाना निकाली गई धनराशि को कई वॉलेट में बांट दिया गया और निश्चित राशि के अनुसार अलग-अलग जगहों पर स्थानांतरित कर दिया गया। यह एक अनुसरण करने की कठिनता उत्पन्न करने वाली विधि है, जिसके अंत में मिक्सर के उपयोग के आधार पर गतिविधि देखी गई है। एकल अपराधी नहीं, बल्कि भूमिका विभाजित करके एक संगठित ढंग से काम करने की संभावना भी उठाई गई है। ✅ Aevo की प्रतिक्रिया और गैर-स्पष्टता Aevo ने घटना के बाद पुराने रिबन वॉल्ट को बंद कर दिया। शुरूआत में, कुछ भरपाई के आधार पर एक योजना प्रस्तुत की गई थी, लेकिन उसके आधार की गलती के कारण वापस ले लिया गया। परिणामस्वरूप, पहले से निकासी कर चुके उपयोगकर्ता और अभी वॉल्ट में धनराशि रखे हुए उपयोगकर्ता में अंतर देखा गया। ✅ इस उदाहरण से क्या सीखा जा सकता है यह समस्या इंगित करती है कि स्मार्ट कॉन्ट्रैक्ट के पुराने होने के कारण खतरा नहीं होता, बल्कि चल रहे कोड को "वास्तविक रूप से उपयोग नहीं किया जा रहा" ऐसा गलत धारणा रखना खतरनाक हो सकता है। अपनाया जाने वाला (Deprecated) होने पर भी, धनराशि बची हुई है और अधिकार वाले कोड अभी भी हमला के लिए उपलब्ध रहते हैं। अपडेट के समय पुराने डिज़ाइन विचारों को नज़रअंदाज करने से, लंबे समय तक की सुरक्षा उपाय एक झटके में निरर्थक हो सकते हैं।